複数のトークンをフォームに挿入

Question

Java Strutアプリケーションでは、CSRFから保護するためにOWASPライブラリバージョン3.1を使用します。 複雑な構造のため、私は複数のscriptタグを持っています。複数のページに追加され、あるページには別のページが含まれることがあります。

<script src="<%=request.getContextPath()%>/JavaScriptServlet"></script> 

この複数のタグが同じページ上にある場合、Internet Explorerに問題があります。それが存在しない場合、フォームに複数のトークンを追加します。私はまた、それがトークン

<INPUT type=hidden value=54AE-VJT1-2OZM-4CZV-LMQI-CUEV-BGL1-EQRI> 
<INPUT type=hidden value=54AE-VJT1-2OZM-4CZV-LMQI-CUEV-BGL1-EQRI> 
<INPUT type=hidden value=54AE-VJT1-2OZM-4CZV-LMQI-CUEV-BGL1-EQRI> 

で複数の入力を追加するInternet Explorerの上

<FORM method=post name=myForm action=/myAction.do?OWASP_CSRFTOKEN=54AE-VJT1-2OZM-4CZV-LMQI-CUEV-BGL1-EQRI&amp;OWASP_CSRFTOKEN=54AE-VJT1-2OZM-4CZV-LMQI-CUEV-BGL1-EQRI&amp;OWASP_CSRFTOKEN=54AE-VJT1-2OZM-4CZV-LMQI-CUEV-BGL1-EQRI&amp;> 

をページを閲覧する際somebady同様の問題があったそれを参照してください？

Answer 1

すべてのトークンが同じであるため、これらのページの機能には問題はありません。あなたは大丈夫です。

統合する唯一の方法は、スクリプトにIDを与え、それを再度宣言する前にIDが存在するかどうかを確認することです。

また、すべてのJSPをリファクタリングして、ある種の「ベース」JSPが1回だけ挿入されるようにすることもできます。

トークンの衝突（CSRFGuardからの拒否されたログ）が表示されない場合は、何も心配はありません。